Keplr社交登录钱包受Web3Auth安全漏洞影响

Web3Auth漏洞波及部分Keplr社交登录钱包

部分通过Google或Apple登录创建钱包的Keplr用户受到Web3Auth提供的基础设施中的安全漏洞影响。这起事件并非所有Keplr钱包都遭到普遍入侵；据称受影响的是一种特定的钱包创建方式。Keplr表示，使用助记词或硬件钱包创建的账户没有风险，明确区分了社交登录账户与其他钱包设置。

Web3Auth提供登录工具，让应用可以通过社交账户创建加密货币钱包。11月6日，该公司暂停了嵌入式钱包服务，并将登录服务转入维护状态。该公司最初报告称，未发现MetaMask用户受到影响；这些用户在10月曾遭遇另一起安全事件。一天后，Web3Auth将漏洞追溯至自身基础设施，并确认部分Keplr钱包受到影响。

确认后，Keplr 禁用了 Google 和 Apple 登录。这一举措限制了受影响登录选项的使用，但所提供的账号并未说明这些选项何时恢复，也未说明所有受影响账户是否都已得到保护。Bitquery 统计发现，八条 Cosmos 系链上约有 44,700 个 Keplr 钱包受到影响。影响范围横跨多个网络，但这一数字本身并不能说明每位用户损失了多少，也不能证明所有被统计的钱包都已被清空。

此次事件对 Keplr 用户的影响

Bitquery 将超过 600 万美元的资金与此次资金转移事件联系起来，并报告称，单笔最大损失约为 325,000 美元。这些数字反映的是其追踪到的链上活动，不应被视为用户最终损失金额的确认结果。Web3Auth 表示，一些被视为攻击者钱包的地址实际上是其恢复钱包。因此，标题中的总金额可能包括转入托管以妥善保管的资金，不过该公司尚未量化这部分金额。

了解事件应对情况时，事件发生的先后顺序很重要。Web3Auth 表示，它与合作伙伴启动了白帽行动，在攻击者得手前，利用同一访问途径将资金从易受攻击的钱包中转出。如果不考虑该公司的解释，这些钱包发出的转账可能会被误认为是盗窃。该公司称，其识别出的接收地址属于其恢复行动，但所提供的资料并未逐笔完整说明这些转账。

11 月 8 日，Web3Auth 公布了经过验证的地址，涉及 Injective、dYdX、Babylon、Axelar、Saga、Agoric 以及八条 EVM 链。其中几个地址与 Bitquery 曾关联到此次资金转移事件的归集钱包共用同一密钥。这种重合有助于解释为何一些活动被认为由攻击者控制。但仅凭这一点，无法确定所有被追踪资产的最终状态或归属；Web3Auth 表示，这些已识别的地址用于资金恢复。

恢复钱包让链上情况变得复杂

Web3Auth 表示，通过此次行动找回的资金是安全的，并且正在与 Keplr 合作制定返还方案。它尚未说明追回的资金占 Bitquery 追踪总额的多少，因此用户和观察人士目前还无法将超过 600 万美元这一数字与代为保管的资金核对起来。对于受影响的用户而言，已公布的追回行动令人鼓舞，但根据现有信息，资金分配的金额、时间和具体流程仍未确定。

这一事件也说明，在安全事件仍在进行时，钱包转账标签可能难以解读。从易受攻击的地址转出资金，可能是攻击者的行为，也可能是响应团队采取的保护措施；在本案中，Web3Auth 表示，其团队使用了与攻击者相同的访问途径。公布经过验证的地址有助于识别部分资金追回钱包，但这并不能替代更全面的资金核算，也无法确认每笔受影响余额的去向。

Web3Auth 提醒用户警惕冒充者提供虚假的资金追回帮助。在用户等待官方返还流程期间，可能会有人声称能够帮他们找回资金，因此这一提醒很实用。该公司表示正在与 Keplr 协调，但原文没有提供具体的追回指引或截止日期。用户应区分已公布的追回行动与未经请求的帮助，不要把非正式说法当作能够获取资金的证明。

资金追回与更广泛的安全问题

对于使用社交账号登录、而非恢复短语或硬件钱包的用户，Keplr 的回应也值得关注。钱包团队表示，后两类账户不受此次事件影响，而在确认漏洞后，Google 和 Apple 登录已被禁用。相关信息没有详细说明如何处理个别账户，也未解释受影响用户是否需要采取其他措施。在此次事件的说明中，钱包设置类型之间的区别是最明确的指引。

据所提供的说法，此次事件发生在今年早些时候 Cosmos 生态遭遇动荡之后：Leap Wallet 停运，促使许多 Cosmos 用户转向 Keplr。这段历史有助于理解 Keplr 的安全问题为何可能影响整个社区，但并不能证明 Leap 停运导致了这一漏洞或相关损失。其他项目也试图安抚用户；PancakeSwap 表示，其资金和智能合约仍然安全。

报告提及的一系列安全事件中也包括 Keplr 事件，例如朝鲜黑客在 2026 年窃取了 76.1 亿美元，以及一名攻击者近期掏空了 1,400 多个 Qubic 钱包。这些案例构成了更广泛的安全背景，但并不表明它们与 Web3Auth 漏洞有关。此事仍有几个核心问题尚未解决：Web3Auth 保护了多少被追踪的加密资产、追回的资产将如何返还，以及被停用的登录选项何时能够安全恢复。

来源：BeInCrypto